MCPサーバーディレクトリ名前空間ハイジャック：900以上の死んだMCPサーバーリンクが再登録可能なGitHubアカウントを指しており、約80がAWS/MySQL/PayPalなどを模倣

TrendAIは4つの主要なMCPディレクトリにわたって90,000以上のユニークなGitHub URLをヘルスチェックし、約8%が死んでいることを発見しました。そのうち900以上が削除されたGitHubアカウントを指しており、攻撃者は単に再登録するだけで済みます — エクスプロイトやマルウェアは不要です。ハイジャック可能なエントリのうち80以上が、ユーザーが検索する有名なサービス（AWS、MySQL、PayPal、Shopify、Telegram、OpenAI、Gemini）にちなんで名付けられており、ハイジャック可能な表面の4分の1以上が上位10の取得可能なアカウントから来ています。ディレクトリはリンクの健全性を定期的に検証せず、名前空間の変更を検出せず、コードの整合性を検証していません。AIエージェントがMCPサーバーを自律的にインストールすることが増えているため、これは攻撃をユーザーを騙すことからエージェントを騙すことへと移行させています。

これは、エージェント型AIスタックに固有の自己伝播型サプライチェーンリスクです。単一の再登録されたGitHubアカウントが、AIエージェントが自動接続する信頼されたツールになり得、その後、エージェントのコンテキストに指示を注入したり、OS/ユーザー認証情報（SSHキー、.env、AWS認証情報）やOAuthトークンを露出させたりします。MCPサーバーはLLMの背後にあるため、1つのハイジャックされたサーバーが従来のエクスプロイトコードなしでクロスサービス攻撃になる可能性があり、NSA AIセキュリティセンターのMCP設計欠陥に関する勧告と一致しています。

リストされたMCPサーバーが削除されたGitHubアカウントにリンクしています。攻撃者はその正確なユーザー名を再登録し、フォークを再公開し、それを指すすべてのディレクトリリストの信頼と可視性を継承します。AIエージェント（READMEをコンテキストとして解析し、名前/説明を照合し、以前の所有者を思い出さない可能性がある）がサーバーをインストール/接続すると、攻撃者の注入された指示またはツールが実行されます — プロンプトインジェクション、エージェント環境での任意のコード実行、およびその背後にあるLLMを介したクロスサービスのツール悪用が可能になります。

MCPサーバーディレクトリ（コミュニティリスト）およびそれらが参照するMCPサーバー。特定のソフトウェアバージョンなし — レジストリ/プラットフォームのサプライチェーンリスク。

パッチなし（単一パッケージのソフトウェア脆弱性ではない）。ディレクトリ運営者とCIポリシーは、リンクの健全性を検証し、名前空間の変更を検出し、リストされたURLでのコード整合性を検証し、可変のアカウント名ではなく不変のコミット/参照（例：git SHA）にMCPサーバーを固定する必要があります。AIエージェントインストーラーは、接続前に明示的な人間の承認を要求し、所有権/評判を検証する必要があります。